[Raskt svar]
SPF (Sender Policy Framework) er en DNS TXT post som viser e-postserverne og tjenestene som har lov til å sende e-post for domenet ditt. Mottakere sammenligner avsenderserverens IP med denne listen. Det er definert i RFC 7208 og er en av de tre kontrollene Gmail og Yahoo krever.
Nøkkelfakta
- ›Publisert som en TXT post på rotdomenet, med start v=spf1.
- ›Bare én SPF post per domene; to poster forårsaker en PermError.
- ›Maksimalt 10 DNS-spørringsmekanismer (inkluderer, a, mx, ptr, eksisterer, omdirigerer).
- ›Ender med ~all ( softfail ) eller -all (fail).
- ›SPF sjekker konvoluttavsenderen ( Return-Path ), ikke den synlige Fra-adressen; DMARC legger til den lenken.
Gjennomgått av EmailAuth -forskningsteamet
SPF (Sender Policy Framework) er en standard for e-postautentisering, definert i RFC 7208 , som lar en domeneeier publisere listen over e-postservere som har tillatelse til å sende e-post på vegne av det domenet. Når en mottakerserver mottar en melding, sjekker den avsenderserverens IP-adresse mot domenets publiserte SPF post i DNS . Hvis IP-en er autorisert, passerer SPF . Hvis den ikke er det, kan mottakeren behandle meldingen som mistenkelig eller avvise den. SPF er en av tre kjernestandarder som beskytter et domene mot spoofing, sammen med DKIM og DMARC .
Hvordan SPF fungerer trinn for trinn
SPF fungerer under SMTP samtalen, før meldingsteksten er fullstendig akseptert. Sjekken kjører mot domenet i Return-Path (konvoluttavsenderen), ikke den synlige Fra-adressen, som er en distinksjon som er viktig for DMARC justering. Den mottakende serveren leser SPF posten, løser mekanismene den inneholder, og sammenligner tilkoblings-IP-en med de autoriserte områdene.
- En sendeserver kobler til og kunngjør konvoluttavsenderdomenet.
- Mottakeren spør etter DNS for det domenets SPF TXT post.
- Mottakeren evaluerer hver mekanisme i rekkefølge til en samsvarer.
- En kamp returnerer pass, fail, softfail eller nøytral basert på kvalifiseringen.
- Mottakeren bruker sin egen policy, og DMARC bruker resultatet for justering.
Grensen på 10 DNS oppslag
RFC 7208 begrenser SPF -evaluering ved 10 DNS oppslag per sjekk. Mekanismer som include, a, mx, ptr og exists forbruker hver oppslag, og hver inkludering kan utløse ytterligere nestede oppslag inne i tredjepartsposten. Populære avsendere som Google Workspace , Microsoft 365 , Salesforce og SendGrid legger til hver sine kjeder, slik at et domene med en håndfull leverandører raskt kan krysse grensen. Når evalueringen overskrider 10 oppslag, returnerer mottakeren en permerror , som de fleste systemer behandler som en feil.
Hvorfor grensen biter
Kryss 10 oppslag og SPF returnerer permerror . Legitim post fra dine egne godkjente leverandører kan da mislykkes med autentisering uten synlige feil for deg.
Der SPF stopper og DKIM og DMARC begynner
SPF sjekker tilkoblingsserveren, slik at den ikke overlever videresending. Når en postboks videresender en melding, er den nye tilkoblings-IP-en videresendingen, ikke serveren din, og SPF bryter. DKIM signerer meldingsinnholdet med en kryptografisk nøkkel som følger med e-posten, slik at den kan overleve videresending. DMARC knytter begge sammen ved å kreve at enten SPF eller DKIM passerer og justeres med det synlige From-domenet, og det forteller mottakerne hva de skal gjøre når de mislykkes. Siden Google- og Yahoo -reglene fra 2024, må massesendere autentisere med SPF og DKIM og publisere DMARC .
Retter oppslagsoverløp med SmartSPF
EmailAuth SmartSPF løser grensen på 10 oppslag med dynamisk utflating. Den utvider hele inkluderingskjeden din, flater den ut til én optimalisert post, og holder tredjeparts avsenderens IP-områder for Salesforce , SendGrid , Microsoft 365 og Google Workspace synkronisert når disse leverandørene endrer infrastrukturen. En gratis domeneskanning utvider inkluderende kjede og teller dine nåværende oppslag slik at du kan se nøyaktig hvor du står.
Ofte stilte spørsmål
Hva står SPF for?
SPF står for Sender Policy Framework. Det er en standard for e-postautentisering definert i RFC 7208 som lar et domene publisere hvilke e-postservere som har lov til å sende på dets vegne. Mottakende servere bruker den til å oppdage falske avsendere.
Stopper SPF all e-postforfalskning?
Nei. SPF sjekker kun konvoluttavsenderdomenet mot autoriserte IP-er, og det bryter når post videresendes. For å beskytte den synlige Fra-adressen fullt ut trenger du også DKIM og en DMARC policy som håndhever justering.
Hva er SPF 10 DNS -oppslagsgrensen?
RFC 7208 tillater maksimalt 10 DNS oppslag når en mottaker evaluerer en SPF post. Mekanismer som include, a og mx bruker hver oppslag, og nestede leverandørposter legger til mer. Overskridelse av 10 returnerer en permerror , som behandles som en feil.
Er SPF fortsatt nødvendig i 2024 og utover?
Ja. Siden 2024 har Google og Yahoo krevd at massesendere skal autentisere e-post, og SPF er en sentral del av dette sammen med DKIM og DMARC . Hvis du hopper over det, risikerer du at e-posten din blir filtrert eller avvist.
Hva er en SPF post?
En DNS TXT -post som viser serverne som er autorisert til å sende e-post for domenet ditt, for eksempel v=spf1 include:_spf.google.com ~all .
Hvordan legger jeg til flere SPF poster?
Du kan ikke. Kombiner alle avsendere til én enkelt post: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Hvordan oppretter jeg en SPF post?
List opp hver tjeneste som sender e-post for deg, legg til hver leverandørs include eller IP, og avslutt med ~all eller -all . En SPF generator bygger den for deg.
Hva er SPF 10-oppslagsgrensen?
SPF evaluering kan utføre maksimalt 10 DNS oppslag. Overskridelse returnerer PermError og SPF mislykkes. Fjern ubrukte inkluderer eller flat ut posten.
Hva betyr v=spf1 include:_spf.google.com ~all ?
Den autoriserer Google Workspace tjenere til å sende for domenet ditt og softfails alt annet.
[ SPF guide ]
Enterprise herkomst
Hvorfor topp finansinstitusjoner og regjeringer pensjonert e-postsikkerhetsdashboardene deres.
Tradisjonelle e-postautentiseringsplattformer selger deg et dashbord og ber ingeniørene dine gjøre jobben. I miljøer med høy innsats betyr manuell overvåking forsinket håndheving, konfigurasjonsdrift og uovervåkede skyggedomener.
EmailAuth er den agentiske e-postopprinnelsesplattformen. Våre agenter håndhever p=reject, hold tredjepartssendere på linje og flytt domenene dine til fulle RFC 9989 compliance, den nye DMARC standarden, med menneskelig-in-the-loop reviderbarhet.
SaaS · Dedikert leieforhold · Air-gaped on-prem · BYOK-kryptering